PHP-krisen: – Omtrent så alvorlig som det kan bli

Onsdag var det plutselig ikke mulig å logge inn med Feide. Også nettsidene til Digitaliseringsdirektoratet og OsloMet var stengt, skriver Aftenposten.

Grunnen til at dette skjedde, var ikke et cyberangrep, men et forsvar. Nettsidene fulgte rett og slett rådet fra Nasjonal sikkerhetsmyndighet (NSM) om å ta berørte systemer av nett og oppdatere dem så raskt som mulig, etter oppdagelsen av to svært kritiske sikkerhetshull i programmeringsspråket PHP.

Norge var langt fra alene. Blant annet gikk nettsidene til det finske helsevesenet, havnen i Rotterdam og politiet i Paris i svart. The Register melder på sin side at 32 britiske offentlige tjenester var helt utilgjengelige.

Men hva er det egentlig som har skjedd her, og hvordan var dette mulig?

Hva er PHP?

Opprinnelig sto forkortelsen for Personal Home Page, men betyr i dag PHP: Hypertext Preprocessor. The Guardian spøker nå også med forkortelsen Pretty Huge Problem.

For selv om du ikke har noe bevisst forhold til PHP, har du garantert vært borti det. Programmeringsspråket er en av de grunnleggende teknologiene internett hviler på, og brukes av rundt 70 prosent av verdens nettsider – blant annet størrelser som WordPress og Wikipedia. Også Facebook ble opprinnelig bygget i PHP.

Hver gang du klikker deg inn på en slik nettside, er det PHP som henter innholdet fra en database, setter det sammen og serverer det til deg. Dette gjelder alt fra nettbutikker og blogger til innloggingssider.

– PHP er overalt. Det driver i det stille WordPress-, Drupal-, Joomla- og Magento-nettsteder, delte hostingplattformer, kontrollpaneler og mye programvare som ikke engang sier høyt at den har PHP under panseret, skriver cybersikkerhetsselskapet Huntress, gjengitt av Sol.

Hvorfor rammet det så hardt?

De fleste sikkerhetshull på nettsider sitter i et enkelt tillegg eller en bestemt app. Denne gangen satt feilen i selve PHP-motoren, og dermed kunne et nettsted være sårbart selv om egen kode var i orden.

– Dette er omtrent så alvorlig som en sårbarhet i en webteknologi kan bli, sier Olaf Hallan Graven, professor i informatikk ved Universitetet i Sørøst-Norge, til Aftenposten.

De to hullene har fått navnet PHP2Shell og en alvorlighetsgrad på 9,2 av 10. De handler om hvordan PHP håndterer minne, og kan i verste fall la en angriper kjøre egen kode på serveren – helt uten passord eller innlogging. Da kan hackere overta kontrollen over serveren, stjele data og spre skadevare.

Dette betyr likevel ikke at alle PHP-nettsider nå er hacket. Et sikkerhetshull er ikke det samme som et gjennomført angrep, og slike sårbarheter må aktivt utnyttes.

Det har mange aktører med urent mel i posen nå forsøkt seg på. Ifølge The Guardian har det de siste dagene vært flere millioner slike forsøk.

«KI-hacking-apokalypse»

Ifølge The Atlantic har PHP-hullene ligget der i over ti år, uten at noen har lagt merke til dem.

De ble først oppdaget av to sikkerhetsfirmaer i august i år ved hjelp av KI-verktøy gjennom OpenAI-initiativet «Patch the Planet». PHP Foundation, organisasjonen bak teknologien, ble umiddelbart varslet. Planen var å holde sårbarhetene hemmelige til oppdateringene var klare, slik at nettsteder kunne få et forsprang på de kriminelle.

Opprinnelig skulle informasjonen offentliggjøres torsdag, men slik gikk det ikke. Tirsdag dukket opplysningene opp på et åpent forum, og PHP Foundation har anklaget et sikkerhetsselskap for å ha publisert oppdaterte PHP-versjoner før avtalt tid.

Men mye tyder på at jakten var i gang også før dette. Amazon fanget opp et forsøk på å utnytte hullene allerede 17. oktober – fire dager før oppdateringene kom – i nettverket av «lokkeduer» selskapet bruker for å studere angripere.

Da hullene ble kjent, gikk det fort. Nettselskapet Cloudflare registrerte tusenvis av angrepsforsøk i timene før offentliggjøringen, titusenvis innen 45 minutter etter, hundretusenvis innen to timer, før tallet altså steg til flere millioner.

Dette skjer i et tempo som knapt ville vært mulig før kunstig intelligens entret banen. Når KI ikke bare kan finne sikkerhetshull som lenge har ligget uoppdaget, men også bidra til å utnytte disse på timer i stedet for uker, er det kanskje ikke så rart at The Atlantic kaller PHP-krisen for starten på en «KI-hacking-apokalypse».

Oppdater nå!

Når angriperne jobber i KI-fart, stiller det også helt nye krav til forsvaret. Når nyoppdagede sikkerhetshull aktivt kan utnyttes på få timer, nytter det ikke å utsette patchingen til en annen dag.

NSM anbefaler nå alle systemeiere å installere PHP-oppdateringene så fort som mulig. Har du en nettside på et webhotell, er det leverandøren som må gjøre jobben – men det er verdt å spørre om dette faktisk er gjort.

Foreløpig er det ingen tegn til at norske virksomheter er rammet. Det betyr ikke at faren er over.

– Vi skal være forberedt på at det kan skje i Norge, sier avdelingsdirektør Martin Albert-Hoff i NSM til NTB.

PHP blir dessuten neppe det siste eksempelet. Bare dager før PHP-saken sprakk, ble lanseringen av databasen PostgreSQL 19 utsatt fordi KI-verktøy fant flere feil enn utviklerne rakk å rette.

Avhengig av én mann

I denne forbindelse er det naturlig å nok en gang trekke fram den klassiske xkcd-tegneserien som poengterer hvor sårbare vi faktisk er når mye av verdens digitale grunnmur hviler på få skuldre.

Illustrasjon: XKCD / CC BY-NC 2.5.

Denne uka fikk tegneserien et ansikt. Tsjekkiske Ondřej Surý sørger for at store deler av verdens servere får PHP-oppdateringene i ferdige pakker, og har gjort dette på frivillig basis i over 20 år.

– Jeg prøver å forklare for kona mi at det finnes denne ene fyren, som alene står for mesteparten av verdens distribusjon av PHP. Og hvis noe skjer med ham, er det bare slutt. Da er alle ille ute, skrev utvikleren Ian Landsman på X.

Surý tar det hele med knusende ro:

– Blir jeg påkjørt av en buss, blir det noen andres problem, sier Surý til The Atlantic.

Surý jobber ikke for PHP Foundation, men var blant de få som ble varslet om hullene før offentligheten. Stiftelsen drives ifølge The Guardian av donasjoner, med bare 13 utviklere i hel- eller deltidsstilling.

Så la oss bare håpe at disse små miljøene klarer å holde tritt, når det til sammenligning pøses milliarder inn i utviklingen av KI-modellene som nå finner (og altså utnytter) stadig nye sårbarheter.

Det har skjedd mye annet innen tech, KI og sikkerhet den siste uken. Her har vi oppsummert det viktigste:

Med om sikkerhet og gamle sårbarheter:

Som vanlig noe om KI:

Maskinvare og forskning:

Sosiale medier og spill:

Ukraina og Starlink:

Til slutt, litt diverse: